Vulnerabilidades de Traefik

Traefik é um proxy reverso HTTP e balanceador de carga. Versões anteriores a 3.7.3, 3.6.18 e 2.11.51 apresentam uma vulnerabilidade crítica na seleção de configuração TLS do HTTP/3 (QUIC) do Traefik, que permite que clientes não autenticados contornem a imposição de mTLS específica de router. Quando o HTTP/3 está habilitado em um entrypoint, o handshake TLS seleciona a configuração TLS aplicável por meio de uma busca exata e sensível a maiúsculas e minúsculas sobre o valor de SNI, que não corresponde a padrões de host com curinga (por exemplo, *.example.com) nem a variações de capitalização do hostname configurado. Como o handshake recorre à configuração TLS padrão, que pode não exigir certificados de cliente, um cliente pode concluir o handshake QUIC sem apresentar certificado, enquanto a camada de roteamento HTTP subsequente ainda encaminha a requisição para um backend protegido por uma política mTLS específica de router. O problema afeta implantações em que o HTTP/3 está habilitado, um router usa uma regra Host com curinga ou correspondência de hostname sem distinção de maiúsculas e minúsculas, um TLSOptions específico de router impõe autenticação por certificado de cliente, e o acesso UDP ao entrypoint é alcançável por um atacante. Esta vulnerabilidade está corrigida nas versões 3.7.3, 3.6.18 e 2.11.51.

Traefik é um proxy reverso HTTP e balanceador de carga. Das versões 3.7.0 até 3.7.3, há uma vulnerabilidade de alta severidade na proteção contra domain fronting (SNICheck) do Traefik que permite a um cliente não autenticado contornar o mTLS imposto por TLSOptions de roteadores com wildcard. Quando um roteador usa uma regra de host com curinga, como Host(*.example.com), com opções TLS mais restritivas (por exemplo RequireAndVerifyClientCert), o SNICheck resolve as opções TLS para o cabeçalho Host HTTP usando apenas buscas exatas em mapa e nunca aplica correspondência por curinga. Se outro SNI permissivo estiver servido no mesmo entrypoint, um atacante pode completar o handshake TLS sob as opções permissivas e então enviar um cabeçalho Host HTTP apontando para o backend protegido por wildcard, alcançando-o sem apresentar certificado de cliente. Isso afeta o caminho HTTPS / HTTP-2 regular e não exige HTTP/3. Esta vulnerabilidade está corrigida na versão 3.7.3.

O Traefik é um proxy reverso HTTP e balanceador de carga. Antes de 2.11.48, 3.6.19 e 3.7.3, há uma vulnerabilidade de alta severidade no middleware StripPrefix do Traefik que permite a um atacante não autenticado contornar a autenticação e a autorização no nível de rota. Quando um router público corresponde a uma regra PathPrefix e aplica o middleware StripPrefix, um caminho de requisição contendo .. ou sua forma codificada em percentual %2e%2e pode corresponder à rota pública no momento do roteamento e, depois que o prefixo é removido e o caminho é normalizado, resolver para um caminho servido por um router autenticado separado. Como resultado, um atacante pode alcançar caminhos protegidos do backend, como endpoints administrativos ou de configuração interna, sem satisfazer o middleware de autenticação anexado ao router protegido. Esta vulnerabilidade está corrigida nas versões 2.11.48, 3.6.19 e 3.7.3.

Traefik is an HTTP reverse proxy and load balancer. Prior to 2.11.46, 3.6.17, and 3.7.1, Traefik's Kubernetes Gateway API provider allows a tenant with HTTPRoute creation permissions to expose the REST provider handler, bypassing the providers.rest.insecure=false setting. The Gateway provider accepts any TraefikService backend reference whose name ends with @internal, making it possible to route traffic to rest@internal in addition to the intended api@internal. In shared Gateway deployments where the REST provider is enabled, this allows a low-privileged actor to gain live dynamic configuration write access to Traefik, enabling unauthorized reconfiguration of routers and services. This vulnerability is fixed in 2.11.46, 3.6.17, and 3.7.1.

Traefik is an HTTP reverse proxy and load balancer. Prior to versions 2.11.43, 3.6.14, and 3.7.0-rc.2, there is a high severity authentication bypass vulnerability in Traefik's ForwardAuth and snippet-based authentication middleware. Traefik's forwarded-header sanitization logic targets only canonical header names (e.g., X-Forwarded-Proto) and does not strip or normalize alias variants that use underscores instead of dashes (e.g., X_Forwarded_Proto). These unsanitized alias headers are forwarded intact to the authentication backend. When the backend normalizes underscore and dash header forms equivalently, an attacker can inject spoofed trust context — such as a trusted scheme or host — through the alias headers and bypass authentication on protected routes without valid credentials. This issue has been patched in versions 2.11.43, 3.6.14, and 3.7.0-rc.2.

Traefik is an HTTP reverse proxy and load balancer. Prior to versions 2.11.43, 3.6.14, and 3.7.0-rc.2, there is an authentication bypass vulnerability in Traefik's ForwardAuth middleware when trustForwardHeader=false is configured and Traefik is deployed behind a trusted upstream proxy. This issue has been patched in versions 2.11.43, 3.6.14, and 3.7.0-rc.2.